Le 16 août, SafePal, une entreprise de portefeuilles matériels dans laquelle Binance a investi, a publié une déclaration sur X. Elle reconnaît un incident de sécurité et admet que des informations de près de 40 000 utilisateurs ont été volées.

Même si SafePal affirme que les informations clés comme la phrase mnémonique, les clés privées et le mot de passe du portefeuille ne posent aucun problème, toutes les informations de livraison que les utilisateurs fournissent lors de l’achat—nom, e-mail, adresse de livraison, numéro de téléphone, etc.—ont été récupérées.

La cause de la fuite vient d’un plugin tiers sur le site de SafePal permettant aux utilisateurs de consulter l’avancement de leurs commandes. Il comporte une « faille d’autorisation » : au lieu que l’utilisateur, en entrant un numéro de commande, ne puisse consulter que son propre historique d’achat, quelqu’un a découvert qu’en modifiant simplement un paramètre, il pouvait voir l’adresse de livraison et le téléphone d’autres personnes.

SafePal dit avoir « découvert récemment la cause fondamentale », mais en réalité, dès juillet, des utilisateurs signalaient déjà en ligne avoir reçu des appels frauduleux leur demandant des informations, avec la connaissance de leur nom et de leur adresse.

Autrement dit, les données des utilisateurs de SafePal auraient pu être « à nu » sur Internet pendant plus d’un mois.

Cette année, les incidents de sécurité se multiplient dans le secteur de la cryptographie. En plus des vols DeFi auxquels tout le monde est déjà habitué, le soi-disant matériel le plus sûr ne cesse lui aussi de faire parler de lui.

Le leader mondial des portefeuilles matériels (hardware wallets) Ledger a eu un problème en janvier de cette année avec son partenaire de paiement Global-e, entraînant la fuite des noms et des coordonnées d’une partie de ses clients.

Bien que cet incident, comme pour SafePal, ne concerne pas des éléments critiques du portefeuille tels que la phrase mnémonique (seed), les clés privées, etc., la fuite de la vie privée des utilisateurs de Ledger a déjà, dans l’histoire, conduit à des « attaques à l’aide d’un tournevis » (brute du genre), et même le cofondateur de Ledger lui-même est devenu victime en 2025.

Le 30 juillet de cette année, l’entreprise canadienne de portefeuilles matériels Coldcard, qui se présente comme « absolument fiable au niveau cryptographique », a été cambriolée.

L’attaquant a exploité une vulnérabilité de firmware qui existait déjà depuis mars 2021 et restait en sommeil pendant 5 ans. En découvrant que certains appareils Coldcard génèrent des phrases mnémoniques avec un manque d’aléatoire, la force des clés est passée de 128 bits au minimum 40 bits, ce qui a permis aux pirates de casser les clés par force brute.

À partir du 30 juillet, les hackers ont agi en quatre vagues. En 41 minutes, ils ont dérobé environ 70 millions de dollars à partir de 1 196 adresses. Les pertes finales ont dépassé 130 millions de dollars. L’attaque a touché plus de 5 200 adresses, ce qui en fait, à ce jour, la troisième plus grande affaire de vol de crypto-monnaies en 2026.

Dans le cas présent, le SafePal dont les informations utilisateurs ont fuité a été financé par Binance et est aussi un projet de portefeuille matériel ayant déjà été lancé via Binance Launchpad. Il fait partie des nouveaux acteurs liés à Binance.

Présenté comme capable de transférer directement dans l’application du portefeuille l’ensemble des flux de liquidité de Binance ainsi que les canaux d’entrée/sortie en monnaies fiduciaires, avec un prix d’entrée inférieur à 50 dollars, ce qui a attiré de nombreux investisseurs crypto.

Bien que SafePal parvienne à un niveau maximal de sécurité dans la couche « signature hors ligne », il utilise, dans la couche « commande e-commerce », une protection au niveau moyen du secteur.

Aujourd’hui, les hackers le savent très bien : ils ne s’attaquent pas à la partie difficile que constitue le chiffrement du firmware : ils ciblent plutôt des maillons faibles comme le système de commandes. Une fois en possession de ces informations (nom, adresse, téléphone), ils peuvent aller plus loin : pêche aux informations (phishing) ciblé, usurpation du service client, voire « attaque à l’aide d’un tournevis » en présentiel (threaten, en te forçant à livrer ta clé privée sous la menace et la violence).

Même si ces informations n’ont pas été ciblées par des criminels, le fait qu’elles soient en possession de « l’oncle en chapeau » ou des services fiscaux n’est pas une bonne chose non plus.